Se acusa al propietario de MonsterCloud de cobrar a las víctimas de ransomware más de $19 millones mientras pagaba en secreto a los atacantes más de $8 millones por descifradores. Si las acusaciones se sostienen, el caso es un ejemplo contundente de fraude en servicios de descifrado de ransomware, donde una empresa que promete rescatar a las víctimas se convierte en otra fuente de daño.
Esta publicación analiza qué se alega, por qué el acuerdo es un problema y cómo las personas y las pequeñas empresas pueden reducir su dependencia de empresas de recuperación de terceros. Las acusaciones no han sido probadas, y los detalles a continuación se limitan a lo que se ha informado.
De qué se acusa al propietario de MonsterCloud
Según los informes, el propietario de MonsterCloud facturó a las víctimas de ransomware más de $19 millones. Durante ese mismo período, supuestamente pagó a los atacantes detrás de esas infecciones más de $8 millones para obtener descifradores, las herramientas que desbloquean archivos cifrados por ransomware.
El detalle clave es la brecha entre lo que se les dijo a las víctimas y lo que supuestamente ocurrió. MonsterCloud se presentaba como una empresa de remediación de ransomware. Una víctima que contrata a una empresa así esperaría razonablemente un trabajo de recuperación técnica. La acusación es que la empresa, en cambio, pagó silenciosamente a los criminales y trasladó el costo, con un gran margen de ganancia. Para conocer los detalles del caso, consulte nuestro informe anterior sobre cómo el CEO de MonsterCloud fue acusado por pagos de rescate secretos.
Cómo los pagos de rescate secretos explotan a las víctimas
Pagar un rescate es una decisión con peso legal, financiero y ético. Las víctimas deberían poder tomarla con conocimiento de causa, con una imagen clara de los riesgos. Un pago oculto elimina esa opción.
Varios problemas surgen cuando una empresa de recuperación paga a los atacantes sin divulgarlo:
- Se pierde el consentimiento informado. Una víctima que cree que está comprando una remediación técnica no ha aceptado financiar a un grupo criminal.
- El precio se vuelve opaco. Si el costo real de un descifrador es mucho menor que la factura, la víctima no puede juzgar si la tarifa es justa.
- Se recompensa a los atacantes. Cada pago, ya sea divulgado o no, financia la siguiente campaña.
- Los resultados son inciertos. Pagar no garantiza un descifrador funcional ni que los datos robados sean eliminados.
Las víctimas también están bajo presión. Las operaciones están caídas, los plazos se acercan y la persona que ofrece ayuda suele ser la única que parece saber qué hacer. Esa urgencia es lo que hace que este tipo de acuerdo sea difícil de detectar desde adentro.
Qué significa esto para las empresas que dependen de empresas de recuperación
Para las pequeñas empresas, un incidente de ransomware puede sentirse como una emergencia sin buenas opciones. Muchas carecen de personal de seguridad interno, por lo que recurren a la primera empresa que promete resultados rápidos. Las acusaciones contra MonsterCloud muestran por qué ese instinto merece una segunda mirada.
Una empresa de recuperación ocupa una posición de alta confianza. Puede acceder a tus sistemas, gestionar negociaciones y controlar pagos. Si sus incentivos están desalineados, por ejemplo, si se beneficia de la diferencia entre un rescate y su factura, tienes un segundo punto de falla además del ataque en sí.
Qué significa esto para ti
Si diriges una pequeña empresa o gestionas tus propios datos, la lección no es que todo proveedor de recuperación sea sospechoso. Es que no deberías tener que depender de uno en una crisis. Cuanto menos dependa tu recuperación de la promesa de un desconocido, menos poder tendrá alguien sobre ti. Tu plan debería responder una pregunta simple antes de un incidente: ¿podríamos restaurar nuestros sistemas sin pagarle a nadie?
Pasos prácticos para evitar trampas de extorsión
La preparación es mucho más barata que un rescate. Estos pasos se aplican tanto a individuos como a pequeñas organizaciones:
- Mantén copias de seguridad fuera de línea o inmutables. Conserva copias que el ransomware no pueda alcanzar, y sigue un enfoque 3-2-1: tres copias, dos tipos de medios, una almacenada fuera del sitio o fuera de línea.
- Prueba tus restauraciones. Una copia de seguridad que nunca has restaurado es una suposición, no un plan.
- Cifra los datos sensibles. El cifrado en reposo y en tránsito limita el valor de los datos robados y reduce el daño de cualquier filtración.
- Verifica a los proveedores antes de necesitarlos. Pregunta cómo gestionan las negociaciones y los pagos, si divulgan algún contacto con los atacantes y cómo estructuran sus tarifas. Solicita esto por escrito.
- Insiste en la transparencia. Una empresa legítima debería decirte si un pago de rescate está sobre la mesa y quién lo haría. Desconfía de respuestas vagas o tarifas vinculadas a la compra de un descifrador.
- Prepara un plan de incidentes. Saber a quién llamar, incluidos asesores legales y autoridades, para que no estés eligiendo un proveedor en pánico.
- Reduce tu superficie de ataque. Usa autenticación multifactor, aplica actualizaciones con prontitud y limita quién puede acceder a sistemas críticos.
Conclusiones clave
Las acusaciones contra MonsterCloud son un recordatorio de que el fraude en servicios de descifrado de ransomware puede provenir de quienes afirman estar ayudando. La mejor protección es necesitarlos menos: mantén copias de seguridad fuera de línea probadas, cifra lo que importa y verifica que cualquier proveedor de recuperación sea transparente sobre los pagos antes de un incidente, no durante uno.
Para comprender los detalles específicos de los cargos, lee nuestro informe sobre el caso del CEO de MonsterCloud, y luego revisa tus propios planes de copia de seguridad y respuesta a incidentes esta semana.
